In dit artikel
- De maker van Muse gebruikte ongeveer 50.000 uur aan hersengolfopnames van gebruikers om AI te trainen, zonder hen daar expliciet over te informeren.
- Het verwijderen van namen is mogelijk niet voldoende om hersengolfgegevens te anonimiseren; onderzoekers hebben individuen kunnen identificeren aan de hand van EEG-registraties.
- Raadpleeg het privacybeleid en vraag naar de mogelijkheden om je af te melden en je gegevens te laten verwijderen.
Technologiebedrijven proberen al jaren om winst te maken door in je hoofd te kruipen. Nu doen ze het letterlijk. De maker van Muse, een hoofdband die hersenactiviteit meet tijdens slaap en meditatie, gebruikte hersengolfgegevens van gebruikers om AI te trainen zonder hen daar expliciet over te informeren, zo blijkt uit een onderzoek.
Bedrijven verkopen deze slaapbanden voor consumenten om je te helpen beter te begrijpen wat je hersenen doen tijdens het slapen en mediteren. Volgens een onderzoek in het tijdschrift Science doen ze er echter zelf ook een beetje van op.
Het eenjarige onderzoek wees uit dat het Canadese bedrijf Interaxon, fabrikant van de Muse slaap- en meditatiehoofdband, de verzamelde hersengegevens van gebruikers gebruikte om AI te trainen. Het bedrijf gebruikte ongeveer 50.000 uur aan elektro-encefalografie (EEG)-opnames, die de elektrische activiteit van de hersenen meten, om een 'basismodel voor de hersenen' te trainen.
AI-modellen die getraind zijn met grote hoeveelheden hersengolfgegevens van verschillende mensen, kunnen patronen in hersenactiviteit herkennen. Zo kan een model bijvoorbeeld leren patronen te herkennen die verband houden met epileptische aanvallen.
Het onderzoeken van dergelijke resultaten is prijzenswaardig, maar alleen als je eerst de mensen informeert van wie de EEG-gegevens voor de training worden gebruikt. Interaxon heeft dat niet gedaan.
Dit is hoe je hersenen reageren op een ontoereikend privacybeleid.
Toen Science Interaxon hierover ondervroeg, erkende marketingdirecteur Nadia Kumentas dat gebruikers expliciet geïnformeerd moesten worden over de AI-training. Het bedrijf heeft zijn privacybeleid aangepast, waarin nu staat dat geanonimiseerde gegevens worden gebruikt om machine learning- modellen te trainen.
Het verzamelen van gegevens via dit soort apparaten is aantrekkelijk voor bedrijven, omdat hersengolfgegevens anders moeilijk te verkrijgen en daardoor enorm waardevol zijn.
Het is dan ook geen wonder dat het niet het enige neuraltechbedrijf is dat vragen krijgt over zijn gegevenspraktijken. De publicatie onderzocht 57 bedrijven die hersengegevens verzamelen en ontdekte dat slechts zes expliciet aangaven de hersengegevens van gebruikers niet te verkopen. Meer dan twee derde staat toe dat hersengegevens worden overgedragen aan een nieuwe eigenaar bij een overname. Elf bedrijven hadden alleen een privacybeleid voor websitebezoekers en vier hadden helemaal geen beleid.
Het is Interaxon te prijzen dat ze namen en e-mailadressen uit de EEG-gegevens van gebruikers hebben verwijderd voordat ze deze voor training gebruikten. De gegevens van die gebruikers hebben echter al bijgedragen aan de vorming van een model dat is getraind zonder dat ze daar expliciet over geïnformeerd waren. Het is extreem moeilijk om die invloed achteraf ongedaan te maken.
Maar is zo'n "anonimisering" wel voldoende? Een academische studie van de Universiteit van Zuidoost-Noorwegen dit jaar wees uit dat EEG-registraties en daarvan afgeleide kenmerken gevoelige patiëntspecifieke informatie kunnen bevatten. Volgens de studie kan dit privacyrisico's met zich meebrengen wanneer deze gegevens worden gedeeld tussen klinische en onderzoeksomgevingen. De studie voegde eraan toe:
"Conventionele anonimiseringsmethoden zijn vaak ontoereikend voor biomedische signalen met een hoge dimensionaliteit, omdat het verwijderen van directe identificatoren niet noodzakelijkerwijs het risico op heridentificatie, koppeling of gevolgtrekking voorkomt."
Een andere studie van onderzoekers aan de Ben-Gurion Universiteit in Israël wees uit dat het analyseren van EEG-registraties in rusttoestand inzicht kan geven in persoonlijkheidskenmerken en cognitieve vaardigheden. Volgens een studie uit 2018 van onderzoekers aan de Korea Universiteit identificeerde EEG in 88,4% van de gevallen gebruikers. En een studie van de Universiteit van Zuid-Californië beweerde dat EEG-gegevens de mentale gezondheidstoestand, neurologische aandoeningen en zelfs de geschiedenis van middelengebruik kunnen onthullen.
Deze bevindingen geven geen uitsluitsel over wat er specifiek uit Muse-opnames kan worden afgeleid. Consumentenhoofdbanden hebben over het algemeen minder elektroden dan klinische EEG-systemen.
Dit is niet het eerste onderzoek naar de consumentenneurotechnologie-industrie dat zorgwekkende trends aan het licht brengt. Een rapport van de Neurorights Foundation uit 2024 wees uit dat 29 van de 30 onderzochte bedrijven toegang leken te hebben tot de neurale gegevens van consumenten en "geen zinvolle beperkingen aan deze toegang hadden gesteld".
De wetgeving loopt nog steeds achter op dit alles. De biometrische informatie van Illinois Privacy De BIPA-wetgeving beschouwt onder andere vingerafdrukken, stemafdrukken en gezichtsgeometrie als biometrische identificatiemiddelen, maar EEG-gegevens vallen daar niet onder. Colorado en Californië behandelen neurale gegevens echter wel als gevoelige informatie.
Deze zorgen gaan verder dan alleen hersengolfgegevens. In een onderzoek van Malwarebytes onder nieuwsbrieflezers maakte 90% zich zorgen over AI die hun gegevens zonder toestemming zou gebruiken, terwijl 92% zich zorgen maakte over bedrijven die hun persoonlijke gegevens op ongepaste wijze zouden gebruiken.
Wat Muse-eigenaren kunnen doen
Gebruik je een slaapband of een ander neurotechnologisch apparaat? Bedenk dan dat je hersengegevens voor meer gebruikt kunnen worden dan je denkt. En als het bedrijf failliet gaat en/of wordt overgenomen, kan het in handen van een andere eigenaar vallen. Dat is precies wat er gebeurde met het genetische testbedrijf 23andMe.
Houd dit in gedachten en raadpleeg het privacybeleid van de fabrikant. Als u dit niet kunt vinden, vraag er dan rechtstreeks naar. Vraag of uw EEG-gegevens worden gebruikt om AI te trainen, of u zich hiervoor kunt afmelden en of u reeds verzamelde opnames kunt verwijderen.
Als die opties niet beschikbaar zijn, overweeg dan of u het apparaat nog wel wilt blijven gebruiken.
Van het melden van bedreigingen tot het verwijderen ervan.
Cyberbeveiligingsrisico's mogen nooit verder reiken dan een krantenkop. Bescherm uw apparaten tegen bedreigingen door Malwarebytes vandaag nog te downloaden .
